Usługa przetwarzania obrazów działa w VPC w dwóch Strefach dostępności (AZ). Każda AZ ma podsieć publiczną i prywatną. Instancje EC2 działają w podsieciach prywatnych i są poprzedzone przez ALB w podsieciach publicznych. Usługa potrzebuje dostępu do internetu i używa dwóch bram NAT. Obrazy są przechowywane w Amazon S3, a instancje EC2 pobierają około 1 TB danych z zasobnika S3 każdego dnia. Firma kładzie nacisk na wysoki poziom bezpieczeństwa. Architekt rozwiązań musi zminimalizować koszty bez osłabiania bezpieczeństwa lub zwiększania narzutu operacyjnego. Które rozwiązanie spełnia te wymagania?

Utworzenie punktu końcowego VPC bramy S3 (Gateway VPC Endpoint) jest najlepszym rozwiązaniem. Umożliwia ono instancjom EC2 w podsieciach prywatnych bezpośredni i bezpieczny dostęp do Amazon S3 bez przechodzenia przez bramy NAT i internet. Eliminuje to koszty transferu danych związane z bramami NAT dla ruchu do S3, jednocześnie zwiększając bezpieczeństwo, ponieważ ruch pozostaje w sieci AWS. Polityka punktu końcowego zapewnia precyzyjną kontrolę dostępu. Zastąpienie bram NAT instancjami NAT zwiększyłoby narzut operacyjny i niekoniecznie zmniejszyłoby koszty, a także nie poprawiłoby bezpieczeństwa dostępu do S3. Przeniesienie instancji EC2 do podsieci publicznych naruszyłoby bezpieczeństwo, wystawiając instancje bezpośrednio na internet. Dołączenie Amazon EFS nie jest odpowiednie, ponieważ obrazy są już przechowywane w S3, a EFS jest systemem plików, a nie rozwiązaniem do przechowywania obiektów na dużą skalę, co wiązałoby się z dodatkowymi kosztami i złożonością migracji danych.